Permissions-Policy
De HTTP-header die bepaalt welke browsermogelijkheden een pagina en de ingesloten frames überhaupt mogen gebruiken — camera, microfoon, locatie en een stuk of vijftig andere.
De syntaxis ziet eruit als Permissions-Policy: camera=(), geolocation=(self): een lijst van functies en de origins die ze mogen aanraken. Er zijn twee verschillende toepassingen. Defensief beperkt het de schade van een gecompromitteerd script van een derde partij of een geïnjecteerd frame: als de camera verboden terrein is verklaard, kan geen script op de pagina er zelfs maar om vragen, wat het ook probeert. Organisatorisch kan een site regels instellen voor content die hij niet beheert — een advertentieframe kan autoplay en locatiegegevens worden ontzegd zonder dat het advertentienetwerk daarvoor geraadpleegd hoeft te worden. Let op: de header beperkt het kunnen vragen om toestemming, niet toestemming die al is verleend, en een niet genoemde functie is standaard toegestaan voor dezelfde origin.